有状态与无状态行为

安全组与网络 ACL 之间最根本的区别在于状态跟踪。安全组是有状态的；网络 ACL 是无状态的。这一项特性会改变您编写规则、排查被丢弃的流量以及分析返回数据包的方式。

有状态意味着防火墙会记住它允许的每个连接。当安全组允许一个入站请求时，它会通过状态表跟踪该连接，并自动允许匹配的响应向外返回。您不需要为返回流量编写规则。

无状态意味着防火墙会独立评估每个数据包，而不会记住之前的数据包。允许入站请求的网络 ACL 不会自动允许响应。您必须为返回方向添加单独的规则，否则响应会被丢弃。

客户端通过 443 端口连接您的 Web 服务器。服务器会从 443 端口向客户端使用的高位临时端口发送响应。使用安全组时，该响应会自动放行。使用 NACL 时，您需要为临时端口范围添加出站允许规则，否则连接会看似停滞，最终失败。

在 NACL 出站规则中忘记配置临时端口，是最常见的无状态配置错误。请求可以到达服务器，但响应会被无提示地拒绝。对于自定义 NACL，请始终为出站响应允许相关的临时端口范围（通常为 1024–65535）。

当流量莫名其妙地被阻止时，请检查与现象相符的层。如果连接已经建立但响应失败，请怀疑缺少临时端口规则的无状态 NACL。如果完全无法建立连接，请检查是否缺少安全组允许规则，或 NACL 是否拒绝了请求端口。

对于发往资源的入站流量，首先在子网边缘评估NACL，然后在 ENI 处评估安全组。对于出站流量，先检查安全组，再检查 NACL。两者都必须允许流量才能通过，因此任一层都可能无提示地阻止流量。

有状态特性让安全组更易于管理，这也是它们成为日常工具的原因。您只需描述一次意图，返回流量就能自动正常工作。无状态 NACL 需要两倍的规则数量，并且需要仔细计算端口，因此通常只在特定场景中使用。

无状态特性有时也是优势。由于 NACL 单独处理每个数据包，拒绝规则可以阻止单个方向的流量而不影响另一个方向，并且会立即作用于所有连接，包括已经建立的连接。这使 NACL 适合在事件期间执行强制且即时的阻止。

更改安全组规则会影响现有的已跟踪连接发出的新数据包，但状态跟踪可能会让某些流量短暂保持活动。NACL 的拒绝规则是无状态的，会在任何连接的下一个数据包到达时立即生效。在遏制正在活动的攻击者时，这种即时性非常重要。

可以把安全组想象成一名聪明的门卫：他记得放行过谁，并让这些人再次顺利离开；而 NACL 则像一张逐个数据包检查的规则表，不会保留任何记忆。了解哪个控制是有状态的，是 SCS-C02 考试中最常考查的知识点之一。

运用有状态与无状态之间的区别。

安全组是有状态的：获准的请求会自动获得返回流量。网络 ACL 是无状态的：每个数据包都会被单独判断，因此您必须明确允许用于响应的临时端口。入站顺序是先 NACL 后 SG；出站顺序是先 SG 后 NACL，并且两者都必须允许。能够建立连接但响应失败，说明无状态控制中可能缺少临时端口规则。